1. PRINCIPES GÉNÉRAUX.

Fondé sur une démarche d'analyse des risques et de management par les processus, le contrôle interne a été mis en place dans l'ensemble des ministères par le décret cité en référence a). Il permet d'assurer la maîtrise des risques liés à la gestion des politiques publiques.

S'agissant des armées, dont la finalité est la préparation au combat et la conduite des opérations, le contrôle interne (CI) doit être utilisé comme un outil d'aide au commandement. Il permet ainsi au chef d'état-major de la marine (CEMM) de garantir au chef d'état-major des armées (CEMA) que les risques importants sont appréhendés et font l'objet de plans d'actions, assurant ainsi la solidité et l'efficacité des activités de la marine.

Aux termes de la directive de l'état-major des armées (EMA) citée en référence g), le contrôle interne, par son approche globale, se substitue à l'obligation, trop exhaustive et donc mal ciblée, de la surveillance administrative qui se limite souvent à la réalisation de contrôles a posteriori.

Il complète par ailleurs d'autres démarches d'amélioration de la performance de la marine, telles que le contrôle de gestion ou la qualité.

Si le contrôle interne vise à sécuriser les activités en prenant en compte de manière appropriée les risques les plus significatifs, le contrôle de gestion évalue principalement l'écart entre les objectifs fixés et les résultats obtenus. La démarche qualité, pour sa part, contribue à optimiser les processus en vue d'améliorer le travail au quotidien et, pour certaines activités, consacre un haut niveau de fiabilité dans les prestations fournies.

Le contrôle interne s'applique aux risques de toute nature et à toutes les formations de la marine. Il doit être simple, adapté et proportionné aux risques auxquels ces activités sont exposées. En se concentrant d'abord sur les risques identifiés comme les plus fondamentaux et les plus récurrents, il ne doit pas se traduire par un excès de formalisme dans les formations, au risque d'en faire une surcharge inutile.

Deux principaux types de contrôle interne sont distingués :

• le contrôle interne « organique » ;

• les processus autonomes assimilables à du contrôle interne.

Les dispositifs formalisés puis mis en œuvre à tous les niveaux de la marine couvrent ainsi l'ensemble du périmètre de responsabilité du CEMM. Parfaitement intégré au fonctionnement régulier de nos unités, il doit conduire in fine à la réduction du poids du « surcontrôle » et à l'assurance raisonnable d'atteindre pleinement les objectifs qui sont fixés à la marine. Un comité de pilotage (COPIL) du contrôle interne, présidé par le major général de la marine (MGM), formalise la synthèse des enseignements des deux types de contrôle interne.

2. PRIORITÉS.

En temps de paix, les méthodes et procédures mises en place au titre de ces contrôles internes doivent permettre la bonne conduite de l'ensemble des activités de la marine. Les priorités décroissantes suivantes viennent en tête :

• la sécurité du personnel [dont l'hygiène, la sécurité et les conditions de travail (HSCT)] ;

• la préservation des matériels ;

• le respect des règlements internationaux ⁽¹⁾ ;

• le respect des règlements nationaux ;

• l'entraînement.

En temps de guerre ou de crise, l'exécution de la mission prime sur la totalité ou, au moins, une partie des priorités précédentes.

3. LE CONTRÔLE INTERNE ORGANIQUE.

Le contrôle interne organique vise à la maîtrise des risques stratégiques ou de commandement de la marine.

3.1. Objectifs, examen des processus et circulation de l'information.

La marine réalise ses objectifs en mettant en œuvre des processus. Leur identification et leur formalisation permet d'obtenir une vision partagée de tous les acteurs. Ces processus sont exposés à des risques, de toute nature, susceptibles d'affecter l'atteinte des objectifs fixés.

L'analyse des processus permet d'identifier plus facilement les risques. Elle est complétée par d'autres instruments à la disposition du commandement (dialogue de commandement, domaines transverses, inspections régulières, retours d'expérience, incidents évités, etc.).

De même, les enquêtes de commandement et les enquêtes techniques [référence h)] renforcent les actions du commandement dans l'analyse et le traitement des risques, afin de prévenir au mieux le renouvellement du fait déclencheur.

Une vision claire et partagée des objectifs à atteindre, l'analyse des processus majeurs, et notamment ceux jugés critiques ⁽²⁾, l'identification des responsables de ces processus, ainsi qu'une bonne circulation des informations constituent l'environnement approprié pour exercer le contrôle interne.

3.2. Évaluation des risques.

Il convient de distinguer deux types de risques au sein des organisations :

• les risques stratégiques ou « de commandement » : ils sont susceptibles de remettre en cause la réalisation des missions confiées au commandement ⁽³⁾, leur identification s'appuie sur l'analyse des processus mis en œuvre et des objectifs associés ;

• les risques « métier » : il s'agit des risques liés à la réalisation des activités dans leur cadre réglementaire et juridique. L'identification de ces risques s'appuie sur une analyse a priori et sur l'exploitation du retour d'expérience ⁽⁴⁾, notamment celui issu des grands domaines de lutte et domaines d'expertise de la marine. L'ensemble de ces sujets est porté par les autorités de domaines transverses (ADT) dont les principes, le fonctionnement et l'organisation sont fixés par instruction [référence i)], mais également par les autorités organiques par le biais des inspections générales et spécialisées ⁽⁵⁾ et certains organismes extérieurs dans le cadre d'audits techniques.

3.2.1. Évaluation.

Un pilote est désigné pour chaque risque ; il s'agit en général du responsable du processus concerné. La criticité d'un risque est évaluée par son pilote à partir d'une combinaison de trois facteurs : la probabilité d'apparition, l'impact en cas de survenance et l'urgence ou l'horizon.

Les risques « de commandement » à traiter sont répertoriés et synthétisés sous la forme d'une cartographie des risques. Outil de pilotage des risques, cette cartographie est réappréciée en tant que de besoin ⁽⁶⁾ afin d'adapter en conséquence les actions de traitement des risques et d'en évaluer l'efficacité.

Cette cartographie des risques se traduit par un plan d'action de maîtrise. Ce plan identifie pour chaque action son pilote et ses concours, la perspective d'évolution, son échéance et surtout les leviers à mettre en œuvre.

Les risques « métier » font l'objet de consignes diffusées par les autorités compétentes pour les risques spécifiques à leur domaine ⁽⁷⁾. En particulier, les ADT formulent des propositions dans leur rapport annuel d'activité de l'autorité transverse (R3AT) concernant les domaines d'expertise dont ils ont la charge.

3.2.2. Attitude.

La prise en compte des risques est l'affaire de tous, quels que soient le niveau et les responsabilités. Elle ne concerne pas que les commandants de formation. Chaque responsable de processus ou d'activité doit identifier et traiter les risques qui l'empêcheraient de mener à bien sa mission. Pour la plupart des activités, et sur la base du retour d'expérience, un corpus documentaire est à la disposition du personnel concerné.

Pour autant, la gestion des risques ne se résume pas à la seule application d'une méthode d'analyse. Il convient, par une bonne appréciation des enjeux, d'entretenir une attitude responsable vis-à-vis des risques, tout en gardant à l'esprit les principes fondamentaux suivants :

• l'esprit de maîtrise des risques englobe l'esprit de sécurité ⁽⁸⁾ ;

• la maîtrise des risques implique une bonne prise en compte du facteur humain ⁽⁹⁾ ;

• à l'entraînement, la sécurité du personnel prime sur toute autre considération.

3.3. Maîtrise des risques.

Le contrôle interne organique constitue la réponse, en termes d'organisation, à la maîtrise des risques pesant sur les activités de la marine. Il doit être appréhendé dans son acception la plus large de mise en œuvre des dispositions pour appréhender et maîtriser, au mieux, les risques identifiés. Outre la cartographie des risques, il s'appuie sur les facteurs clés suivants :

• la mise en place d'une organisation comportant une définition claire des responsabilités, ce qui implique des organigrammes nominatifs et des délégations bien identifiées ⁽¹⁰⁾ ;

• la diffusion à bon niveau des informations permettant à chacun d'exercer ses responsabilités ;

• la traçabilité du dispositif de contrôle interne organique qui repose sur un ensemble de documents renseignés ;

• la réalisation d'activités d'inspection et de contrôle diligentées en fonction des risques et des enjeux ;

• la surveillance permanente du dispositif de contrôle interne organique ainsi qu'un examen régulier de son efficacité ;

• l'entretien d'une culture du contrôle interne, ou en d'autres termes, la gestion rigoureuse au quotidien qui doit s'enraciner dans le fonctionnement des organismes.

3.4. Organisation.

Le contrôle interne organique se décline en trois niveaux de responsabilité sur l'ensemble du périmètre de la marine.

Sous l'autorité du CEMA, responsable de la politique générale relative au contrôle interne dans les armées [référence a)], le CEMM est responsable du contrôle interne organique pour la marine. Il s'appuie sur le bureau pilotage (EMM/PIL) qui, sous la supervision de l'officier général « performance et synthèse » (OG-PS) :

• en définit la politique générale ;

• met à jour la cartographie des risques de la marine et le plan d'actions associé.

  ---

3.4.1. Pilotage opérationnel du contrôle interne organique.

	AUTORITÉS RESPONSABLES.	POLITIQUE.	LIVRABLES.
Contrôle interne de niveau 3 (conception)	MGM (11)	- définition de la politique générale, de l'organisation et de l'animation du dispositif ; - orientations annuelles (12) ; - prise de mesures correctives ou conservatoires immédiates.	COPIL CI et cartographie des risques majeurs de la marine dont une copie est adressée au CEMA ainsi qu'aux AO (13)/CAM (14)/DIR (15)/SCE (16).	Plan d'action de maîtrise des risques, dialogue de commandement avec l'EMA.
Contrôle interne de niveau 2 (conduite)	AO/CAM/DIR/SCE/COMIA (17) (délégation possible d'une partie du CI2 vers les commandants de grandes unités) (18)	- déclinaison de l'organisation sur leur périmètre ; - orientations annuelles vers le CI1, éventuellement directives pour l'amélioration du dispositif de contrôle interne ; - inspections générales et spécialisées ; - prise de mesures correctives immédiates.	Cartographie annuelle des risques majeurs de la force, de la direction ou du service dont une copie est adressée à EMM/PIL.	Plan d'action de maîtrise des risques et dialogue de commandement avec l'EMM.
Contrôle interne de niveau 1 (exécution)	Commandants ou responsables de formation et d'organismes, services locaux [SSF (19), SLM (20) ]	- déclinaison de l'organisation dans le fonctionnement courant ; - prise de mesures correctives immédiates ; - objectifs internes.	Risques majeurs de la formation dont une copie de ce document est adressée à l'autorité hiérarchique.	Dialogue de commandement avec l'autorité hiérarchique.

3.4.2. Responsabilités diverses.

3.4.2.1. Opérations de contrôle interne organique.

Par son approche fondée sur l'identification et la priorisation des risques et son ancrage dans l'action quotidienne, le contrôle interne organique permet au commandement de concentrer ses efforts sur les domaines générateurs de risques, avec pour finalité l'atteinte des objectifs fixés. Il doit ainsi contribuer à alléger les opérations de contrôle dans les formations ⁽²¹⁾.

---

Cette approche ciblée a pour contrepartie une responsabilité accrue des acteurs de terrain ⁽²²⁾.

3.4.2.2. Rôle des autorités de domaine transverse.

Par les responsabilités transverses qu'elles exercent dans leur domaine respectif et leur fonctionnement en réseau, les ADT veillent au partage des bonnes pratiques, à l'harmonisation et à la cohérence des corpus documentaires. Elles sont susceptibles d'assister les AO/CAM/DIR/SCE dans la mise en œuvre des plans d'actions de maîtrise de risques spécifiques.

EMM/PIL diffuse une mise à jour annuelle des coordonnées des correspondants des domaines transverses.

3.4.2.3. Le contrôle interne organique de niveau 1.

Les opérations de contrôle interne de niveau 1 (CI1) regroupent l'ensemble des contrôles réalisés au sein d'une formation par les acteurs directs et l'encadrement. Elles se déclinent entre l'autocontrôle (planchettes, fiches réflexes, etc.), le contrôle mutuel (contrôle du travail d'un opérateur par un autre opérateur) et le contrôle de supervision (recherche d'un visa, etc.), selon une priorité croissante liée au niveau de risque de l'activité.

Les pratiques d'évaluation et de contrôle mises en place au fil des années, sur la base du retour d'expérience, constituent le dispositif de contrôle interne organique dans les formations ⁽²³⁾. Il appartient aux autorités du contrôle organique de niveau CI2 de s'assurer que le dispositif de CI1 en place dans les formations est en adéquation avec les risques les plus importants encourus, en s'appuyant sur la cartographie des risques majeurs établie au niveau du CI2 et de procéder, le cas échéant, aux adaptations nécessaires des procédures existantes.

Un CI1 développé, performant et réputé fiable, est de nature à réduire ou alléger les contrôles de niveau 2 et les visites externes. À cet égard, la traçabilité des contrôles réalisés dans les formations est primordiale.

3.4.2.4. Le contrôle interne organique de niveau 2.

Les opérations de contrôle interne de niveau 2 (CI2) relèvent des AO/CAM/DIR/SCE et des COMIA pour les bases navales implantées à l'outre-mer ou à l'étranger ⁽²⁴⁾. Elles permettent de s'assurer de la fiabilité et de la permanence du dispositif de CI1 déployé dans les formations :

• en procédant à son analyse (formalisation, cohérence, champ d'action) ;

• en contrôlant son effectivité (connaissance, appropriation, application des procédures) ;

• en vérifiant son efficacité (niveau de maîtrise des risques atteint).

Elles peuvent prendre des formes diverses :

• un contrôle direct (inspection générale par le commandant organique ou son délégué, inspection technique ou spécialisée, contrôle de préservation du patrimoine, attribution de la qualification opérationnelle, etc.) ;

• un contrôle de cohérence (contrôle sur pièces, contrôle par sondages, approbation des instructions permanentes, etc.). En règle générale, ce contrôle de cohérence ne consiste pas à réitérer les contrôles de premier niveau, mais à s'assurer que ceux-ci sont en place et qu'ils ont été effectués conformément aux procédures et avec efficacité.

Les AO/CAM/DIR/SCE font par ailleurs appel à des organismes extérieurs pour des audits techniques (sécurité des systèmes d'information, cyber-protection, fonction ressources humaines, etc.).

---

4. LES PROCESSUS AUTONOMES ASSIMILABLES À DU CONTRÔLE INTERNE.

Toute défaillance constatée dans un domaine peut donner lieu à la mise en place d'un processus de contrôle interne dédié ponctuel. Certains domaines font cependant l'objet d'une réglementation permanente spécifique, voire d'une analyse extrêmement poussée, proportionnelle au niveau de risque représenté, et assimilable à des processus de contrôle interne.

Quatre domaines font ainsi l'objet d'un suivi réglementaire constant : le nucléaire, la prévention et la maîtrise des risques professionnels et d'atteinte à l'environnement, la cyber-sécurité et la navigabilité des aéronefs d'État.

4.1. Nucléaire.

Par délégation du ministre, le CEMM porte la responsabilité d'exploitant nucléaire. Pour exercer cette responsabilité, il s'appuie sur :

• une fonction d'exploitation caractérisée par :

• une chaîne de responsabilité : à l'échelon central de la marine (ALNUC ⁽²⁵⁾), au niveau intermédiaire (ALFOST ⁽²⁶⁾, ALFAN ⁽²⁷⁾, CECLANT ⁽²⁸⁾, CECMED ⁽²⁹⁾, COMAR MANCHE ⁽³⁰⁾, etc.) et au niveau des responsables d'installations, systèmes et activités ⁽³¹⁾ et des autorités militaires territoriales et des maîtrises d'ouvrage (SSF) ;

• une ligne opérationnelle qui exerce les responsabilités de prescription, d'exécution et de coordination ;

• une ligne qualité-sûreté.

• une fonction d'expertise par des autorités de conception (CEA ⁽³²⁾, SID ⁽³³⁾, DGA ⁽³⁴⁾) et des services experts (STXN ⁽³⁵⁾) ou des groupes spécialisés de maintien de la sûreté ;

• une fonction de contrôle interne (IMSN ⁽³⁶⁾) et externe (DSND ⁽³⁷⁾).

4.2. Prévention et maîtrise des risques professionnels et d'atteinte à l'environnement.

La maîtrise du risque dans le domaine de la PMRE ⁽³⁸⁾ dans la marine repose sur quatre piliers :

• une chaîne de mise en œuvre chargée de prescrire, d'exécuter, de coordonner, de contrôler la qualité de réalisation des actions de prévention et d'animer la promotion de la culture de prévention. Elle comprend les chefs d'organismes, les autorités organiques et le coordonnateur à la prévention ;

• une fonction de soutien qui fournit l'appui et les ressources permettant à la chaîne de mise en œuvre d'assumer ses responsabilités ;

• une fonction d'expertise qui conduit des analyses techniques permettant notamment d'évaluer le niveau de performance et de pertinence des dispositions de prévention mises en œuvre ;

• une chaîne de contrôle qui assure la vérification du respect des exigences prescrites pour la réalisation d'un processus ou d'une action d'exploitation, tant au cours de sa préparation que de son exécution, et de la conformité du résultat attendu de ce processus ou de cette action. Le contrôle interne se décline en trois niveaux de responsabilité et est activé par chaque niveau de la chaîne de mise en œuvre.

L'inspection de la marine assure quant à elle l'effectivité du contrôle interne mis en place et les inspections spécialisées ⁽³⁹⁾ du contrôle général des armées (CGA/IS) contrôlent l'application de la réglementation.

4.3. Cyber-sécurité.

La cyber-sécurité recouvre la cyber-protection, anciennement la sécurité des systèmes d'information (SSI), et la cyber-défense.

Le CEMM est autorité d'homologation principale (AHP). Il s'appuie sur un officier général, autorité de coordination en charge de la cyber-sécurité.

La robustesse des dispositifs de cyber-sécurité et l'application des consignes réglementaires sont régulièrement testées par des organismes dépendant de l'EMA, tel le CALID ⁽⁴⁰⁾, ou du ministère des armées (DRSD ⁽⁴¹⁾).

4.4. Navigabilité des aéronefs d'État.

Les règlements européens sont déclinés en décrets et arrêtés interministériels. La direction de la sécurité aéronautique de l'État (DSAÉ), service à compétence nationale placé auprès du ministre des armées, s'assure de la conformité de leur application en certifiant et auditant la marine dans son rôle d'autorité d'emploi, d'exploitant, d'organisme d'entretien et de formation. Assisté par l'expertise du bureau « maintien en condition opérationnelle (MCO) » de l'EMM, le sous-chef d'état-major « soutiens et finances » est le « dirigeant responsable » de l'organisation de maintien de la navigabilité s'appuyant sur l'amiral commandant la force de l'aéronautique navale (ALAVIA) et la structure intégrée du maintien en condition opérationnelle des matériels aéronautiques du ministère des armées (SIMMAD).

5. COMITÉ DE PILOTAGE DU CONTRÔLE INTERNE, AUDIT INTERNE, INSPECTIONS ET CONTRÔLES EXTERNES.

5.1. Le comité de pilotage du contrôle interne.

Le COPIL CI, présidé par le MGM, réunit les responsables des différents contrôles internes dans la marine. Cette instance fait le point sur les risques saillants pesant sur l'ensemble des activités relevant du périmètre du CEMM et permet au MGM de réorienter l'action des responsables ou de compléter les directives annuelles.

5.2. L'audit interne.

L'audit interne est une activité exercée de manière indépendante et objective qui vérifie, de façon ponctuelle l'efficacité des dispositifs de contrôle interne organique et spécifiques. Il relève de l'inspecteur de la marine nationale (IMN) qui agit sous mandat du CEMM. Il doit notamment permettre de s'assurer de l'application des textes réglementaires, de l'efficacité des procédures de contrôle interne mises en place au sein de la marine, d'apporter des conseils méthodologiques et de relever les manquements éventuels.

Les missions conduites par les auditeurs font l'objet de rapports écrits faisant figurer de manière explicite, le cas échéant, leurs observations, les dysfonctionnements éventuellement relevés et leurs recommandations. Les recommandations validées par l'EMM font l'objet d'un plan d'actions.

5.3. Les inspections et les contrôles externes.

Les inspections et les contrôles menés par l'IMN ⁽⁴²⁾ et les différents organismes d'inspection du ministère et de l'État ⁽⁴³⁾ concourent également à la maîtrise globale des activités de la marine.

6. TEXTE ABROGÉ.

L'instruction n° 0-18242-2012/DEF/EMM/PIL du 17 août 2012 relative au cadre général du contrôle interne dans la marine nationale est abrogée.

---

7. PUBLICATION.

La présente instruction est publiée au Bulletin officiel des armées.